Lozinke polako odlaze: Šta je passkey i da li je zaista bezbedniji
Telefon vam ponudi da se na nalog prijavite otiskom prsta, skeniranjem lica ili PIN-om, a da prethodno ne unesete lozinku. Iza tog jednostavnog koraka nalazi se passkey, odnosno pristupni ključ, tehnologija koja bi postepeno mogla da zameni lozinke kakve danas poznajemo.
Google, Apple, Microsoft i druge velike kompanije već omogućavaju korišćenje pristupnih ključeva. Korisnicima ipak nije uvek jasno šta su time napravili, gde se taj ključ čuva i šta će se dogoditi ako izgube telefon.
Šta je passkey?
Passkey je digitalni ključ pomoću kojeg se korisnik prijavljuje na određeni nalog bez unošenja lozinke. Čuva se na telefonu, računaru, fizičkom sigurnosnom ključu ili u sistemu za upravljanje pristupnim podacima.
Korisnik ne mora da ga pamti niti da ga ručno prepisuje. Za prijavljivanje je dovoljno da otključa uređaj na uobičajen način:
- otiskom prsta;
- prepoznavanjem lica;
- PIN-om;
- šablonom za otključavanje;
- lozinkom kojom je zaštićen sam uređaj.
FIDO Alliance, organizacija koja razvija standarde na kojima se zasniva ova tehnologija, pristupni ključ opisuje kao tajnu sačuvanu na uređaju, koju korisnik otključava na isti način kao telefon ili računar.
Biometrijski podatak pritom se ne šalje sajtu. Otisak prsta ili sken lica ostaje na uređaju, dok sajt dobija samo potvrdu da je provera identiteta uspešno obavljena.
Kako pristupni ključ radi?
Prilikom pravljenja passkeya nastaju dva matematički povezana kriptografska ključa.
Javni ključ dobija sajt ili aplikacija na kojoj je nalog otvoren. Privatni ključ ostaje na korisnikovom uređaju i ne šalje se preko interneta.
Prilikom sledećeg prijavljivanja sajt šalje uređaju poseban zahtev. Korisnik otključava telefon otiskom prsta, licem ili PIN-om, a uređaj privatnim ključem potvrđuje da zahtev dolazi od vlasnika odgovarajućeg naloga. Sajt proverava potvrdu pomoću javnog ključa i dozvoljava pristup.
Sajt, dakle, nema tajnu koju bi napadač mogao jednostavno da ukrade iz baze podataka i upotrebi kao lozinku. Microsoft objašnjava da privatni ključ ostaje na uređaju, dok se kod servisa čuva samo javni deo.
Zašto je passkey otporniji na krađu podataka?
Lozinka može da bude kratka, ponovljena na više naloga ili otkrivena u velikom curenju podataka. Korisnik je može uneti i na lažnoj stranici koja izgleda gotovo isto kao prava.
Passkey ne može da se izdiktira prevarantu, pošalje porukom ili slučajno upiše na lažnom sajtu. Svaki pristupni ključ povezan je sa konkretnim internet domenom.
Ako je, na primer, napravljen za pravi sajt određene kompanije, uređaj ga neće ponuditi stranici koja samo liči na originalnu. Zbog toga se pristupni ključevi smatraju posebno otpornim na fišing, odnosno prevare kojima napadači pokušavaju da izvuku lozinke i druge podatke za prijavljivanje.
To ipak ne znači da je ceo nalog automatski neprobojan. Prevarant i dalje može da pokuša da korisniku ukrade pristup rezervnoj elektronskoj pošti, kod za oporavak naloga ili PIN uređaja.
Da li sajt dobija otisak prsta ili snimak lica?
Ne. Otisak prsta i podaci korišćeni za prepoznavanje lica ostaju na telefonu ili računaru. Oni služe da uređaj proveri da li njegov vlasnik dozvoljava upotrebu privatnog ključa.
Google navodi da biometrijske podatke korišćene za prijavljivanje ne dobija i da oni ostaju sačuvani na uređaju. Isto važi i kada se umesto biometrije koristi PIN: sajt ne dobija PIN kojim otključavate telefon.
Šta ako izgubite telefon?
Gubitak telefona ne znači automatski da je neko dobio pristup svim nalozima. Osoba koja pronađe uređaj i dalje mora da ga otključa.
Problem nastaje ako zna PIN ili uspe da zaobiđe zaštitu telefona. Zbog toga pristupne ključeve treba praviti samo na uređajima koje lično koristimo, a izgubljeni telefon što pre označiti kao izgubljen i ukloniti sa liste uređaja povezanih sa nalozima.
Postoje dve vrste pristupnih ključeva. Jedni ostaju vezani za samo jedan uređaj, dok se drugi šifrovano sinhronizuju između telefona i računara povezanih sa istim korisničkim nalogom.
Ako pristupni ključ nije sinhronizovan i postoji samo na izgubljenom uređaju, korisnik će morati da se osloni na drugi prijavljeni uređaj ili postupak za oporavak naloga.
Da li passkey radi na tuđem računaru?
Može. Na podržanim sajtovima korisnik može na računaru da izabere prijavljivanje pomoću pristupnog ključa sa telefona.
Na ekranu se tada obično pojavljuje QR kod. Korisnik ga skenira telefonom i potvrđuje prijavu otiskom prsta, licem ili PIN-om. Privatni ključ ne prebacuje se trajno na tuđi računar.
Google navodi da je za ovakav način prijavljivanja uglavnom potrebno da Bluetooth bude uključen, kako bi uređaji potvrdili da se nalaze jedan pored drugog.
Da li odmah treba izbrisati sve lozinke?
Ne još. Mnogi sajtovi ne podržavaju pristupne ključeve, dok ih drugi nude samo kao dodatni način prijavljivanja. Čak ni pravljenje passkeya ne znači nužno da je postojeća lozinka automatski uklonjena.
Najbezbednije je da korisnik:
- uključi passkey na servisima koji ga nude;
- pristupni ključ napravi samo na ličnom uređaju;
- koristi jak PIN za otključavanje telefona;
- redovno proverava koji uređaji imaju pristup nalozima;
- sačuva bezbedan način za oporavak naloga;
- ukloni pristupni ključ sa izgubljenog ili prodatog uređaja.
Passkey neće preko noći ukinuti sve lozinke. Ipak, rešava njihov najveći problem: od korisnika više ne traži da pamti i čuva tajnu koju prevarant može da izvuče iz njega.
Zbog toga pristupni ključevi nisu samo brži način prijavljivanja. Oni menjaju osnovno pravilo digitalne bezbednosti: umesto da dokazujemo identitet podatkom koji znamo, dokazujemo ga uređajem koji posedujemo i možemo da otključamo.
Još uvek nema komentara.